Délibération n° 2022-102 du 20 juillet 2022 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre d'un traitement automatisé d'informations nominatives ayant pour finalité « Gestion de l'espace Client MyMT » présenté par MONACO TELECOM.
Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu le Contrat de Concession du Service Public des communications électroniques sur le territoire de la Principauté de Monaco du 26 septembre 2011 ;
Vu le Cahier des charges relatif à la Concession du Service Public des communications électroniques sur le territoire de la Principauté de Monaco, signé le 26 septembre 2011, annexé à l’Ordonnance Souveraine n° 3.560 du 6 décembre 2011 ;
Vu le Cahier des charges de l’avenant à la Concession du Service Public des communications électroniques et ses annexes attachées à l’Ordonnance Souveraine n° 6.186 du 12 décembre 2016 ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;
Vu la demande d’avis déposée par Monaco Telecom, le 21 mars 2022, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité « Gestion de l’espace Client MyMT » ;
Vu la prorogation du délai d’examen de la présente demande d’avis, notifiée au responsable de traitement, le 19 mai 2022, conformément à l’article 19 de l’Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives, en date du 20 juillet 2022, portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Monaco Telecom SAM (MT) est une société, immatriculée au RCI, sous le numéro 97 S 03277, concessionnaire d’un service public. Elle a notamment pour objet « d’assurer dans les relations intérieures et internationales, tous services de télécommunication. À ce titre, elle assure les activités d’opérateur public chargé de l’exploitation du service téléphonique de la Principauté de Monaco […] ».
MT souhaite permettre à ses clients de suivre et gérer leurs offres (à l’exclusion des offres internet VDSL et voix fixe-ligne analogique) à travers leur espace client et ainsi, de bénéficier d’une meilleure visibilité de leur abonnement et d’une autonomie pour rectifier certaines données les concernant.
Ainsi, le traitement automatisé d’informations nominatives y afférent est soumis à l’avis de la Commission, conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993.
I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Gestion de l’espace Client MyMT ».
Il concerne les clients MT et Monaco Telecom Services (MTS).
À l’analyse du dossier, la Commission constate et prend acte que sont également concernés, par le présent traitement, les personnels habilités de MT et de MTS.
Les fonctionnalités mises à disposition par l’espace client sont :
- visibilité donnée au client sur les informations nominatives transmises à MT lors de la souscription à des offres et possibilité de les rectifier ;
- possibilité de gérer les offres souscrites avec une plus grande autonomie ;
- possibilité donnée au client de contrôler les usages faits par ce dernier grâce à la communication des informations liées à l’utilisation des forfaits et ses dépassements.
La Commission relève que le présent traitement permet également au client MT de bénéficier d’une plus grande autonomie « dans la gestion de ses souscriptions et paiements ».
Plus précisément, ses fonctionnalités par activité sont :
- Tous métiers (fixe, Internet, mobile) :
• la récupération du mot de passe d’accès au MyMT (mot de passe oublié) ;
- Compte client et assistance :
• la visualisation du numéro de compte client ;
• la visualisation des informations liées au client (nom, prénom, raison sociale, enseigne, adresse, commercial dédié, email de contact, mobile de contact, code secret du service client…) ;
• la modification de l’email de contact ;
• la modification du mobile de contact ;
• la modification du fixe de contact ;
• la modification de l’adresse postale (si hors Monaco) ;
• la modification de l’identifiant de connexion ;
• la modification du mot de passe de connexion ;
• l’inscription/désinscription à la newsletter ;
• les Accord/Refus d’être sollicité dans le cadre d’enquêtes ;
• l’unification des comptes client (création d’un lien avec un autre compte client pour faciliter la gestion et la navigation) ;
• traiter les informations liées au service de connexion via MConnect (identité numérique fournie par le Gouvernement) : nom, prénom et date de naissance ;
• la création de tickets d’assistance ;
• la visualisation des tickets d’assistance en cours (tickets web).
- Facture :
• visualiser le montant de la dernière facture ;
• visualiser et payer son montant dû ;
• visualiser les paramètres de facturation (adresse, type de facture, moyen de paiement) ;
• visualiser l’historique des paiements (6 derniers mois) ;
• visualiser les factures (sur les 12 derniers mois) ;
• visualiser le détail de la consommation (sur les 6 derniers mois) :
o numéro de ligne
o date et heure de début de la consommation
o type de communication (appel/SMS/MMS/DATA)
o pays d’origine et de destination
o numéro appelé
o durée/quantité/volume
o montant HT
- Fixe :
• la visualisation de l’offre FIXE souscrite ;
• la visualisation du numéro de la ligne FIXE ;
• la visualisation du suivi de la consommation du FIXE sur le mois en cours.
- ISP/VOIP :
• visualisation de l’offre souscrite ;
• visualisation des box du client ;
• gestion du nom des box ;
• gestion de l’accès nomade (activation, modification du mot de passe) ;
• activation du drive ;
• visualiser le volume de drive disponible ;
• visualisation des paramètres de l’accès Internet ;
• création d’une (ou plusieurs) messagerie(s) électronique(s) ;
• gestion des messageries électroniques existantes ;
• consultation de ses consommations ;
• gestion des paramètres de la ligne VoIP :
o visualisation du numéro de VoIP
o activation/désactivation de service :
o signal d’appel
o secret d’identité
o configuration des renvois d’appel
o restriction de l’utilisation de la ligne VoIP
o consultation et modification du code PIN
- Mobile :
• visualisation de l’ensemble des lignes mobiles souscrites par le client ;
• visualisation des offres et des options souscrites sur chaque ligne ;
• visualisation de l’utilisateur de la ligne ;
• visualisation de la date de renouvellement/éligibilité prime mobile ;
• visualisation de la date de fin d’engagement ;
• visualisation du hors forfait ;
• visualisation du détail de l’encours de la consommation par ligne :
o numéro de ligne
o date et heure de début de la consommation
o type de consommation (appel/SMS/MMS/DATA)
o pays d’origine et de destination
o numéro appelé
o durée/quantité/volume
o montant HT
• visualisation du code PUK ;
• suspension de ligne en cas de perte ou de vol ;
• réactiver une ligne suspendue ;
• activation de carte SIM ;
• visualisation du statut de l’internet mobile en fonction des zones incluses dans l’offre.
- TV :
• visualisation de l’offre souscrite ;
• visualisation des box du client ;
• gestion du nom des box ;
• visualisation de l’identification de connexion au service TV ;
• modification du mot de passe de connexion au service TV ;
• résiliation des packs TV actifs ;
• souscription de packs TV ;
• visualisation de la consommation VOD (références aux VOD consultées anonymisées) + export pdf.
- Autres services (Monaco Care Safety / Password, Monaco Care Mobile) :
• visualisation de l’offre souscrite.
- Marketing :
• établir des statistiques d’utilisation du MyMT (accessibles par MT uniquement) via Piwik / Matomo Analytics.
Le responsable de traitement précise à cet égard que « (…) l’outil ne collecte aucune information nominative. Les adresses IP sont directement anonymisées (…). L’outil n’installe pas de cookies ni autres traceurs sur les terminaux de l’utilisateur, il ne collecte pas des informations nominatives de l’utilisateur ni aucune information qui pourrait identifier l’utilisateur de manière indirecte ».
La Commission relève par ailleurs que les clients des offres concernées peuvent accéder à leur espace MyMT au moyen de deux modes d’authentification : une authentification dite classique en saisissant leur identifiant et leur mot de passe et une authentification via l’identité numérique du Gouvernement MConnect.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.
II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le présent traitement est justifié par le consentement de la personne concernée, par le respect d’une obligation légale à laquelle il est soumis et par l’exécution d’un contrat ou de mesures pré-contractuelles avec la personne concernée.
Il précise, à cet égard, que « le client est informé de la possibilité d’accéder à l’espace client afin de consulter ses offres souscrites. Il est libre de l’utiliser ou pas ».
Le responsable de traitement souligne, de plus, que « Monaco Telecom a l’obligation, en vertu des contrats souscrits par les clients MT, de fournir aux clients, les informations concernant les services fournis ainsi que d’assurer la disponibilité de ces informations (ex. le dépassement du forfait etc.) ». « Monaco Telecom, en vertu de la Concession modifiée par avenants et lettres-avenants successifs, a l’obligation de fournir les différents services de communications électroniques. L’accès aux données de suivi des abonnements, donné aux clients, se base sur l’obligation de fournir des prestations de qualité ».
En outre, la Commission constate l’implémentation d’un reCAPTCHA Google qui effectue un transfert d’informations nominatives vers les États-Unis, sans qu’aucun outil juridique puisse rendre ledit transfert légal. La Commission prend acte de ce que le responsable de traitement indique qu’il s’engage à prochainement changer d’outil. La Commission demande que ce changement soit opéré dans les plus brefs délais.
La Commission considère que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993.
III. Sur les informations nominatives traitées
Les informations nominatives traitées sont :
- données d’identification électronique : login client : adresse email, identifiant MT, téléphone fixe ou mobile, numéro de compte client ; mot de passe d’accès ; ID de l’identité numérique (MConnect) ;
Pour les salariés de MT et MTS : adresse email professionnelle.
- informations temporelles : journaux de connexion des clients à l’espace client : login MT, date et heure de connexion, identifiant technique du client, statut de la connexion (« succès » ou « failure »), ID de l’identité numérique (MConnect) et numéro de compte client ;
Pour les salariés de MT et MTS : date et heure de connexion.
- journaux de connexion des responsables MT : adresse email professionnelle responsable MT(AD), mot de passe et date et heure de connexion ;
Journaux de connexion des salariés Service client MTS : login MT, date et heure de connexion et statut de la connexion (« succès » ou « failure »).
Les informations relatives aux données d’identification électronique des clients ont pour origine le client lors de la souscription à une offre MT (contrat). Elles ont également pour origine MT, lors de la création du compte client.
Le responsable de traitement précise, plus particulièrement, que les données des clients sont collectées lors de la souscription à une offre et sont notamment traitées par l’outil CRM de MT connecté au présent traitement.
Par ailleurs, les informations temporelles et les journaux de connexion des responsables MT proviennent de l’espace client.
Enfin, les données d’usage sont produites par les équipements.
La Commission considère que les informations ainsi collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.
IV. Sur les droits des personnes concernées
- Sur l’information préalable des personnes concernées
L’information préalable des personnes concernées s’effectue par le biais d’une mention sur le document de collecte et par une rubrique propre à la protection des données accessible en ligne.
Ces documents n’ayant pas été joints au dossier, la Commission rappelle qu’ils doivent comporter l’ensemble des mentions prévues à l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée.
Par ailleurs, la Commission rappelle que les salariés de MT et de MTS doivent également être valablement informés conformément aux dispositions de l’article 14 de la loi n° 1.165.
Sous cette condition, elle considère que les modalités d’information préalable des personnes concernées sont conformes aux dispositions de l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée.
- Sur l’exercice du droit d’accès
Le droit d’accès s’exerce sur place, par voie postale ou par courrier électronique adressé au Délégué à la Protection des Données de MT.
À cet égard, la Commission rappelle que la réponse à ce droit d’accès doit intervenir dans le mois suivant la réception de la demande.
Par ailleurs, s’agissant de l’exercice du droit d’accès par voie électronique, la Commission considère qu’une procédure devra être mise en place afin que le responsable de traitement puisse s’assurer que l’expéditeur du courriel est effectivement la personne concernée par les informations. À ce titre, elle précise que si une copie d’un document d’identité était demandée, la transmission et le traitement de ce document devront faire l’objet de mesures de protection particulières, comme rappelé dans sa délibération n° 2015-113 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d’identité officiels.
Sous cette réserve, elle constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.
V. Sur les destinataires et les personnes ayant accès au traitement
- Sur les destinataires
Le responsable de traitement indique que les données d’identification électronique peuvent être communiquées au service client de MT et MTS. En outre, les informations temporelles et les journaux de connexion peuvent l’être aux personnels habilités de MT (ex. équipe de production et infrastructure).
La Commission considère que ces communications d’informations sont justifiées.
- Sur les accès au traitement
Les accès des personnes habilitées sont, par ailleurs, définis comme suit :
- les départements commerciaux MT compétents, en charge du grand public et des professionnels : droits de consultation des informations contenues dans l’espace client d’un client ;
- les employés de MT habilités : équipe production et test en cas d’incident ; équipe infrastructure : droits de consultation des informations contenues dans l’espace client d’un client et droits de modification ;
- les employés de MTS (filiale de MT en charge du service client) pour répondre à la demande du client : aide à l’usage, demande d’accompagnement : droits de consultation des informations contenues dans l’espace client d’un client ;
- les conseillers de clientèle (MTS) : afin de répondre au client rencontrant des problèmes liés à l’utilisation de l’espace client : droit de modification sauf les informations bancaires.
À cet égard, le responsable de traitement précise que les employés MT des départements commerciaux en charge du grand public et des professionnels, des services techniques et de MTS peuvent accéder à l’espace client via un mode d’accès spécifique (en cas de demande du client concernant l’accompagnement ou l’aide à l’usage).
La Commission relève par ailleurs que les clients ont accès à leurs espaces.
Elle considère que ces accès sont justifiés.
VI. Sur les rapprochements et interconnexions
Le responsable de traitement indique que le présent traitement fait l’objet d’un rapprochement avec le traitement légalement mis en œuvre ayant pour finalité « Mise à disposition d’outils de gestion des comptes et abonnements clients par le biais du portail client MyMT ».
En outre, il est interconnecté avec les traitements légalement mis en œuvre ayant pour finalité respective :
- « Mise à disposition d’outils de gestion des comptes et abonnements clients par le biais du portail client MyMT » ;
- « Gestion des offres composites de Monaco Telecom » ;
- « Fourniture des services de confiance pour l’identité numérique dénommé « MConnect et MConnect Mobile ».
À l’analyse du dossier, il appert que le présent traitement est également interconnecté avec le traitement ayant pour finalité « Gestion des habilitations au système d’information », légalement mis en œuvre.
La Commission relève que ces interconnexions et ce rapprochement sont conformes aux exigences légales.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière.
Cependant, les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
La Commission rappelle en outre que, conformément à l’article 17 de la loi n° 1.165 modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement, au regard des risques présentés par ce traitement et de la nature des données à protéger, devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VIII. Sur la durée de conservation
Le responsable de traitement indique que les informations relatives aux données d’identification électroniques sont conservées 5 ans à compter du terme contractuel sur support informatique.
La Commission relève que « les informations affichées sur l’espace client MyMT et provenant du CRM VTI n’apparaîtront plus sur cet espace pour le client, ni pour les administrateurs et les responsables MT 1 mois après la résiliation du client » et que « les données d’identification du compte sont anonymisées à la fin de la durée du traitement ».
En outre, les journaux de connexion des responsables MT et des clients sont conservés 12 mois à partir de la collecte.
Elle considère que ces durées sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :
- Considère qu’une procédure relative au droit d’accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s’assurer que l’expéditeur du courriel est effectivement la personne concernée par les informations.
Rappelle que :
- l’information des personnes doit être conforme aux dispositions de l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée ;
- les salariés de MT et de MTS doivent également être valablement informés conformément aux dispositions de l’article 14 de la loi n° 1.165 ;
- la réponse à un droit d’accès doit intervenir dans le mois suivant la réception de la demande ;
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switch, routeurs, pare-feux), ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
Demande que l’outil reCAPTCHA Google soit remplacé dans les plus brefs délais.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par Monaco Telecom, du traitement automatisé d’informations nominatives ayant pour finalité « Gestion de l’espace Client MyMT ».
Le Président de la Commission de Contrôle des Informations Nominatives.